
        <html>
			<head>
			     <title>我是HDRoot！ - virustracker</title>
				 <meta http-equiv="content-type" content="text/html; charset=UTF-8">
			</head>
			<body>
				<h1>原文地址:<a href="http://drops.wooyun.org/binary/9782">http://drops.wooyun.org/binary/9782</a></h1>
				
      <p>
        <p>原文：</p>

<ul>
<li><a href="https://securelist.com/analysis/publications/72275/i-am-hdroot-part-1/">https://securelist.com/analysis/publications/72275/i-am-hdroot-part-1/</a> </li>
<li><a href="https://securelist.com/analysis/publications/72356/i-am-hdroot-part-2/">https://securelist.com/analysis/publications/72356/i-am-hdroot-part-2/</a></li>
</ul>

<p>之前，我们在追踪Winnti小组的活动期间，偶然遇到了一个非常有趣的样本。</p>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802233232328.com/blob/wvzaaa2s0do/4evfk7tigcpobohj6dt0uq?s=pjpcaiqnwltj" alt="" /></p>

<p>这个样本使用了VMProtect强壳，是一个Win64可执行程序，使用了一个来自中国广州YuanLuo科技的未知签名。并且，这个可执行文件的属性与微软的Net命令-<code>net.exe</code>很类似，甚至我们在运行样本时得到了与原版<code>net.exe</code>工具类似的输出：</p>

<!--more-->

<p><img src="http://static.wooyun.org//drops/20151019/2015101903231470210.com/blob/wvzaaa2s0do/slntcw9g2brnvpwzdz-ppa?s=pjpcaiqnwltj" alt="" /></p>

<p>伪装成<code>net.exe</code></p>

<p>所有这些证据表明这个样本很可疑</p>

<h1>0x01 Bootkit</h1>

<hr />

<p>此程序的代码隐秘性极强,很难对其进行庖丁解牛式的模块分析.但幸运的是，我们在一份dump中发现了一些特殊且重要的字符串:隐藏在其中的另外四个样本,win32版本win64版本,其分别各有一个libray和一个driver.</p>

<p><img src="http://static.wooyun.org//drops/20151020/2015102004154650611.com/blob/wvzaaa2s0do/ddbpocnig7apxo5c5ml2cw?s=pjpcaiqnwltj" alt="" /></p>

<p>木马主体中的字符串</p>

<p>这些字符串让我们怀疑这个样本实际上是一个bootkit安装器。多亏了一些更明确人工痕迹，我们发现了一个类似但是没有代码保护的样本，并证实了我们的猜测。</p>

<p>首先运行这个工具：</p>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802221373363.com/blob/wvzaaa2s0do/0hxbjywzrzbyqk0fx02slq?s=pjpcaiqnwltj" alt="" /></p>

<p>原始的HDD Rootkit输出</p>

<p>简单看一眼<code>hdroot.exe</code>的参数，我们就知道这个程序是干什么的-给它提供一个后门当做参数,这个工具就会在系统boot阶段帮你安装它,安装的后门必须是一个Win32可执行程序或动态链接库。</p>

<p>这个工具叫做 “HDD Rootkit”，于是我们就用HDRoot来命名这个样本。在2006年8月22日，版本号是1.2。</p>

<p>所以,上文中提到的那个隐蔽性极强的工具可能就是<code>hdroot.exe</code>,只是经过修改，在受害者设备上使用，以避免暴露工具的意图.</p>

<p>从Hdroot的这些资源的名称上我们能看出很多有趣的东西：</p>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802221528304.com/blob/wvzaaa2s0do/tmjrgkpvzewonz4jed9e0a?s=pjpcaiqnwltj" alt="" /></p>

<p>HDD Rootkit的资源</p>

<ul>
<li>“MBR”中保存着第一部分恶意代码，这些代码会注入到受感染计算机的MBR；</li>
<li>“BOOT” – 第二部分恶意启动代码；</li>
<li>“RKIMAGE” – 第三部分恶意启动代码</li>
<li>“DLLLOAD” – 动态链接库，恶意启动代码会把这个库注入到文件系统和 autorun。</li>
</ul>

<p>我们尝试在一个bootkit的帮助下运行一些可执行程序。在我们的试验中，这个可执行程序的角色是扮演一个良性程序，仅仅是在C盘根目录中创建一个文件。我会通过HDD Rootkit使用下面的代码来运行这个可执行程序：<code>hdroot.exe inst write_to_c.exe c</code>:</p>

<p>告诉它我想要在C盘中安装一个bootkit，让程序<code>write_to_c.exe</code> 在系统启动时运行。</p>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802221675027.com/blob/wvzaaa2s0do/rhmejrzfywo1ftpqu8ajcg?s=pjpcaiqnwltj" alt="" /></p>

<p>HDRoot bootkit的安装</p>

<p>这个工具会检查指定磁盘上的可用空间，当可用容量小于总容量30%时，会拒绝安装bootkit。</p>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802221855045.com/blob/wvzaaa2s0do/wor10a0y4nufmi2v3x4ilg?s=pjpcaiqnwltj" alt="" /></p>

<p>检查可用空间</p>

<p>所以，现在bootkit已经安装了。我们看看都发生了什么。首先，MBR中的部分代码替换成了 “MBR”资源中的恶意代码。</p>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802234054558.com/blob/wvzaaa2s0do/oiui8rp3xkbzhiydynhl_w?s=pjpcaiqnwltj" alt="" /></p>

<p>“MBR”资源</p>

<p>前两个字节EB 70指的是跳转到第72个偏移，其他的第一部分启动代码就在这。0x70前和0xB0后的0指的是保持这些位置上的原始MBR代码不变。下图是在安装了bootkit后，一个打了补丁的MBR。</p>

<p><img src="http://static.wooyun.org//drops/20151020/2015102004162215456.com/blob/wvzaaa2s0do/mafkkzbddp8n8upp7-z50w?s=pjpcaiqnwltj" alt="" /></p>

<p>在MBR中注入的恶意代码</p>

<p>第一部分会加载下一部分的启动代码，bootkit安装器已经把这些代码放到了第11个扇区（偏移0x1400字节）。第二部分代码会从资源“BOOT”中获取。</p>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802222322924.com/blob/wvzaaa2s0do/yas1nxkqskph_2ogpvdcag?s=pjpcaiqnwltj" alt="" /></p>

<p>第二部分启动代码</p>

<p>在第二部分代码中，第八个偏移上的字节是一个驱动号，下一个DWORD是一个扇区偏移，在这个位置上有下一部分启动代码。这个例子的值是0x80，指的是磁盘0和偏移0x5FD9A0，如果乘以0x200字节（扇区大小）得到的结果是0xBFB34000。这是从磁盘开始的偏移字节数，在这里放置着bootkit安装器从资源 “RKIMAGE”中获取的第三部分启动代码。</p>

<p>“RKIMAGE”资源中有大量的代码，会实现一个DLL（DLL是从资源 “DLLLOAD”中获取的）注入到文件系统并修改注册表，这样就能加载DLL并在系统启动时运行。因为bootkit是在较早的启动阶段执行的，这个时候还没有访问文件的api可以使用,这个bootkit是自己解析文件系统的（FAT32和NTFS）。</p>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802222516473.com/blob/wvzaaa2s0do/p-wneng4bufw7f7rj8xu-w?s=pjpcaiqnwltj" alt="" /></p>

<p>支持的文件系统</p>

<p>搜索硬编码的特殊文件，其内容已经替换成了从磁盘指定位置获取的DLL。我们发现多数版本的HDRoot使用了文件 <em>%windir%\WMSysPr9.prx</em>来实现这些目的。有时候DLL会覆盖一些系统库文件，对于木马来说这绝不是一种安全的工作方式，因为这样可能会造成系统崩溃，并警告用户出现感染。在能够用于覆盖的其他文件中，我们还注意到了如下这些：</p>

<pre><code>%windir%\twain.dll
%windir%\msvidc32.dll
%windir%\help\access.hlp
%windir%\help\winssnap.hlp
%windir%\system\olesvr.dll
%windir%\syswow64\C_932.NLS
%windir%\syswow64\C_20949.NLS
%windir%\syswow64\dssec.dat
%windir%\syswow64\irclass.dll
%windir%\syswow64\msvidc32.dll
%windir%\syswow64\kmddsp.tsp
</code></pre>

<p>然后，代码读取文件 <code>%windir%\system32\config\system</code>的内容，维持 <code>HKEY_LOCAL_MACHINE\SYSTEM</code>的内容。在其他字符串中，注册表实体文件中都是包含关于安装服务的信息。在OS启动时，会有大量的系统服务启动。比如，通过<code>svchost.exe</code>启动的<code>ServiceDll</code>，要运行的函数库路径就指定在<code>ServiceDll</code>的注册值中。恶意启动代码会在 “system”文件中搜索与系统服务关联的系统库路径，并将值替换成注入DLL的路径（比如，<code>%windir%\WMSysPr9.prx</code>）。在所有版本中，我们发现HDRoot利用了下面的服务：</p>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802234697523.com/blob/wvzaaa2s0do/925sbhskai2rl2m1vc-6da?s=pjpcaiqnwltj" alt="" /></p>

<p>所以，当操作系统开始运行服务时，没有加载原始服务<code>svchost.exe</code>，而是加载了恶意代码。这个恶意库只是加载和运行了从指定偏移上获取的后门，在这个位置上有HDD Rootkit。我们发现两个版本的HDRoot使用了不同的方法来完成这一操作。第一个只是把后门保存成文件<code>%windir%\temp\svchost.exe</code>，并在WinExec API函数的帮助下执行。所有迹象表明，木马作者之后觉着这个方法不是运行后门的最好办法，因为AV产品能检测到，并且启动的应用可能在检查事件时注意到并记录到系统日志。另一版的DLL并没有投放文件，而是分配了内存来读取后门，或许是为了正常执行（根据导入表来加载二进制并修复重定位）和自己运行。这种方法更隐秘，因为减少了后门被发现的几率，即使是检测到了DLL和受感染的MBR。</p>

<p>返回到我们的实验，当命令<code>hdroot.exe inst write_to_c.exe c:</code>运行时，我们重启了操作系统。在OS加载后，我们能看到运行程序<code>write_to_c.exe</code>的结果，虽然是一个后门，但是表现的很好。</p>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802222775977.com/blob/wvzaaa2s0do/tfbl-w3cem-o8amlixbeaq?s=pjpcaiqnwltj" alt="" /></p>

<p>创建测试文件zzz.bin</p>

<p>在加载了Windows后，立刻能看到文件<code>C:\zzz.bin</code>，这证明程序<code>write_to_c.exe</code>已经成功执行了。</p>

<p>HDRoot的整个感染过程如下：</p>

<p><img src="http://static.wooyun.org//drops/20151020/2015102004162351812.com/blob/wvzaaa2s0do/g8zyp68dcliaptgwceg_0g?s=pjpcaiqnwltj" alt="" /></p>

<p>HDRoot操作方案</p>

<p>有趣的是，恶意软件没有功能可以恢复在启动过程中被替换掉的原始服务。因为受影响的服务是操作系统的一部分，忽视这一做法可能会导致 Windows 故障并且造成感染被发现。这就更奇怪了，考虑到恶意软件在试图掩盖其踪迹。也只能说是 “试图”，因为恶意软件没能成功。投放的 DLL 有一个函数会储存注册表中 ServiceDll 的原始值，存储与该服务相关的 DLL 路径。但是由于第三部分的启动代码 (从”RKIMAGE"中获取)有缺陷，代码会在注入前修复"DLLLOAD"的内容，DLL开始从硬编码偏移上获取错误的数据，并阻止DLL找到正确的ServiceDll路径来重新恢复原始值.</p>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802223216457.com/blob/wvzaaa2s0do/ulvk11grybztuqna9cp2bg?s=pjpcaiqnwltj" alt="" /></p>

<p>路径保留在了注册表中的注入恶意DLL</p>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802223446383.com/blob/wvzaaa2s0do/x5onam5fkti3h3mazvkdgw?s=pjpcaiqnwltj" alt="" /></p>

<p>错误的注册表路径和值名称</p>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802223648835.com/blob/wvzaaa2s0do/jzjsz_qrlllijbxhohcona?s=pjpcaiqnwltj" alt="" /></p>

<p>用ServiceDll的原始值错误地覆盖了注册表SubKey</p>

<p>所以，我们必须要说，这个木马并不细心，你不会认为这个木马来自严谨的APT小组 Winnti。但是，我们注意到这个木马的作者在努力地让这个bootkit能在启动阶段正常运行，避免在OS加载时被完全拦截。但是，上面提到的一些失误导致感染在受害者计算机上留下了一些可疑的迹象。例如，原始服务，比如Windows Update和Task Scheduler无法运行了，但是看来没人注意到。</p>

<h1>0x02 后门</h1>

<hr />

<p>因为配合HDRoot安装的后门可能是任意的，所以我们无法描述每个案例中HDRoot bootkit会运行什么木马。但是，在跟踪HDRoot时。至少我们已经收集到了两类木马。第一种是手动从感染了HDRoot的受害者硬盘中提取的。另一种是在一个独立的投放程序中找到的，这里面包含了HDRoot和安装的后门。</p>

<h2>第一类后门</h2>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802223851116.com/blob/wvzaaa2s0do/fep8xpa6ah67joihryw_ea?s=pjpcaiqnwltj" alt="" /></p>

<p>这个木马系列是服务器端的Derusbi，我们曾在几次与Winnti相关的事件中观察到。通常这个DLL的内部名<code>OfficeUt32.dll</code>是并且会具有下面的导出函数：</p>

<pre><code>DllRegisterServer
DllUnregisterServer
ServiceMain
SvchostPushServiceGlobals
WUServiceMain
__crt_debugger_hook
</code></pre>

<p>不同版本的函数也不同。主要的DLL在主体中还包括其他的木马组件，通常都是<code>xor-cipher</code>.</p>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802224082110.com/blob/wvzaaa2s0do/v4x8jl3wxnf0t9exitlxww?s=pjpcaiqnwltj" alt="" /></p>

<p>保留额外模块的结构</p>

<p>HDRoot bootkit安装的Derusbi样本包含了一个远程shell模块和网络驱动模块。</p>

<p>安装例程是在导出函数“<code>DllRegisterServer</code>“中实现的。当调用时，这个函数会执行下列操作：</p>

<ul>
<li>把自身复制到文件夹 “<code>%System32%\wbem\</code>“，名称由“ntfs”+三个随机字母组成，扩展名是 “.mof”，比如“<code>ntfsqwe.mof</code>“，并把年份设置到文件属性中的2015年。</li>
<li>将包含了自身路径的字符串放到注册表中的“<code>ServiceDll</code>”值，与系统服务 “<code>iphlpsvc</code>” 或 “<code>wuauserv</code>” 关联，具体取决于Windows系统版本，并把“<code>ServiceDll</code>”的原始值以加密形式保存到同一个注册表键值的“<code>Security</code>”参数。在系统启动时执行木马。</li>
<li>在启动了木马服务后，启动被替换的原始服务，运行在木马安装时，运行与“<code>Security</code>”参数中指定的服务管理的动态链接库。</li>
</ul>

<p>木马会将配置数据以加密的形式储存在<code>HKLM\SOFTWARE\Microsoft\Rpc</code>注册表键值的“<code>Security</code>”参数中。这里面包含了独特的计算机标识符，以及用于匹配输入的CC服务器数据包的签名。</p>

<p>木马可以直接连接到CC服务器，如果在设置中指定了CC；如果没有定义CC服务器，也可以进入监听模式。我们发现的与HDRoot bootkit相关的样本是在监听模式下工作。</p>

<h2>第一类后门：驱动</h2>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802224233987.com/blob/wvzaaa2s0do/jx0b9acp6b_q18pk4x5nsg?s=pjpcaiqnwltj" alt="" /></p>

<p>（驱动是在2012年11月19日 17:11:14签发的，使用了韩国在线游戏厂商XL Games的证书。这个证书在2013年6月21日撤销了。其序列号是<strong>7b:d5:58:18:c5:97:1b:63:dc:45:cf:57:cb:eb:95:0b）</strong></p>

<p>主木马DLL会解密，投放并运行rootkit作为一个文件 “<code>%System32%\Drivers\Lst_Update.sys</code>”。在过程开始，驱动就会移除所有在启动过程中创建的注册表键值和真正的驱动文件。rootkit中包含了恶意网路活动，是监控工具通过hook “<code>\Device\Tcp</code>” 或 “<code>\Driver\nsiproxy</code>”系统对象的 <code>IRP_MJ_DIRECTORY_CONTROL</code>服务例程。另外，驱动还通过hook文件系统驱动 “<code>\FileSystem\Ntfs</code>”的<code>IRP_MJ_DIRECTORY_CONTROL</code> 服务例程，从用户模式中隐藏了文件“<code>\windows\system32\wiarpc.dll</code>”。</p>

<p>如果木马在监听模式下工作，rootkit还会参与通讯例程。木马会嗅探所有输入的网络数据包并在其中搜索特制的签名。如果找到，木马会重定向这些数据包来监听主木马模块打开的数据包。主模块会在所有的网络接口上随机选择一个端口，在上面创建一个网络socket。如果rootkit推送了一个与签名匹配的网络数据包，主模块就会处理。这个网络数据包中包含有命令代码和必须执行这个命令的模块ID。已知的木马版本会识别5种不同命令的模块：</p>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802202829253table1.png" alt="" /></p>

<h2>第一类后门：远程shell</h2>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802224534965.com/blob/wvzaaa2s0do/5nj1qtynp3n_zoblfr3zcq?s=pjpcaiqnwltj" alt="" /></p>

<p>正如前面提到的，除了网路驱动，在Dersubi样本中还发现了唯一的一个额外模块-远程Shell。主木马模块会解密，投放并运行这个远程shell作为文件“<code>%Systemroot%\Help\perfc009.dat</code>”。这个DLL的内部名称是 <code>Office.dll</code>，一个导出函数是R32。这个库是通过执行下面的命令行运行的：</p>

<p><code>rundll32.exe %Systemroot%\Help\perfc009.dat R32 &lt;random_number&gt;</code></p>

<p>其中<code>&lt;random_number&gt;</code>是一个由主模块生成的预共享值。</p>

<p>远程shell库会创建两个名称管道，用于与主模块通讯：</p>

<pre><code>\pipe\usb&lt;random_number&gt;i
\pipe\usb&lt;random_number&gt;o
</code></pre>

<p>攻击者发送的执行命令预计就是通过管道<code>\pipe\usb&lt;random_number&gt;o</code>来的。当这个命令要在工作目录<code>%SystemDrive%</code>中创建一个新的进程是时，已经创建的进程标准输入就会设置从管道 <code>\pipe\usb&lt;rando_number&gt;i</code>中获取命令。也就是说，执行程序的输入是来自攻击者，程序输出会返回到攻击者，构成了一个高效的后门通道。</p>

<h2>第二类后门：投放程序</h2>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802235145880.com/blob/wvzaaa2s0do/hjc962dyg5nd6out_1z6nq?s=pjpcaiqnwltj" alt="" /></p>

<p>我们发现的一个样本结果是HDRoot使用的一个一键后门安装器。这是一个Win32可执行程序，根据标头的数据戳显示，其编译日期是2013年11月18日。这个可执行程序中包括了自定义类型 “MHM”的资源 “102”和 “103”。这些就是HDRoot安装器的可执行程序和安装的后门。</p>

<p>已安装后门的角色是由可执行程序中的资源 “102”扮演的，会投放为文件 <code>%windir%\bootmgr.exe</code>。（运行几步，我们必须要说这不是一个后门而是一个下载器。） “HDRoot”工具，也就是资源 “103”会投放为<code>%windir%\hall32.exe</code>。然后，投放器会运行下面的命令行：</p>

<p><code>%windir%\hall32.exe inst %windir%\bootmgr.exe c:</code></p>

<p>指令HDRoot安装器<code>hall32.exe</code>来安装HDRoot bootkit到硬盘C盘，接下来在系统启动时运行下载器<code>bootmgr.exe</code>。</p>

<h1>0x02 下载器</h1>

<hr />

<p><img src="http://static.wooyun.org//drops/20151018/2015101802225054300.com/blob/wvzaaa2s0do/tgycg9aot3unoc07qkfbug?s=pjpcaiqnwltj" alt="" /></p>

<p>下载器bootmgr.exe和投放器类似也是在2013年11月18日编译的。根据其主体中指定的列表，这个下载器会通过URL下载文件并运行：</p>

<pre><code>http://www.gbutterfly.com/bbs/data/boot1.gif
http://www.btdot.com/bbs/data/boot1.gif
http://boot.ncook.net/bbs/data/boot1.gif
http://www.funzone.co.kr/bbs/data/boot1.gif
http://www.srsr.co.kr/bbs2/data/boot1.gif
</code></pre>

<p>如果这些URL都可用，下载器会将下面的某个文件投放到磁盘上并运行：</p>

<pre><code>%windir%\v3update000.exe
%windir%\v3update001.exe
%windir%\v3update002.exe
</code></pre>

<p>下载器会检查投放的文件大小，只运行大于20896字节的文件。</p>

<p>结果表明这是一个双重下载器：在其主体中还有具备下载功能的另一个样本。木马会把文件投放为 <code>%windir%\svchost.exe</code>，并接着使用参数“<code>install</code>”来运行。出于某种原因，在运行了第二个下载器之后，木马会使用下面的命令行立即停止网络连接共享服务：</p>

<p><code>cmd.exe /c net stop sharedaccess</code></p>

<p>下载器主体中还指定了其他的文件，用于检查文件系统：</p>

<pre><code>%windir%\system32\midimapbits.dll
%windir%\system32\mpeg4c32.dll
%windir%\winurl.dat
</code></pre>

<h2>第二个下载器</h2>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802225125403.com/blob/wvzaaa2s0do/wq-idysfpqbyk__-izxqkg?s=pjpcaiqnwltj" alt="" /></p>

<p>这个木马能够识别两个参数：“<code>install</code>”* 和 “<code>remove</code>”。在安装过程中，会创建一个自启动 “<code>Winlogon</code>”服务，其描述是“<code>Provides automatic configuration for the 802.11 adapters</code>”，会调整为运行自己的可执行程序。“<code>remove</code>”参数的意思是删除自身. 在运行时，服务会解密主体中的URL，并尝试在地址上附上“<code>default.gif</code>”来下载内容。下面是解密后完整的URL：</p>

<pre><code>http://www.netmarble.net/
http://www.nexon.com/
http://www.tistory.com/start/
http://m.ahnlab.com/
http://www.joinsmsn.com/
http://fcst.co.kr/board/data/media/
http://www.hangame.com/
http://www.msn.com/
http://adw.naver.com/
http://www1.designrg.com/
http://www.topani.com/
http://www.nate.com/
http://www.v3lite.com/
http://www1.webschool.or.kr/
http://snsdate.gndot.com/
http://www.srsr.co.kr/bbs2/data/
http://funzone.co.kr/bbs/data/
http://www.moreuc.com/
http://www1.ncook.net/
</code></pre>

<p>如上的url列表中包括了一些合法网站,正常情况来说,这些合法网站是不可能寄存木马的. 如果寄存了木马那么只有一个可能:它被入侵了.</p>

<p>这个url列表会下载到如下路径 <code>%windir%\image.jpg</code>。但是，这只是一个中间过程。木马解析的应该是一个文本文件。这个文件的第一行应该包含只比139大的数；如果不是，木马就会跳过内容处理。第二行是URL。木马会使用这些URL来下载可执行程序，第三行指定了可执行程序的文件名称。在下载了木马后，重置文件的前两个字节 为“MZ”，并运行。</p>

<p>同时，在下载过程中，木马会尝试移除特定的杀毒软件。在注册表中发现了卸载命令后，木马会运行这个命令并通过操作应用上的用户界面按键；来移除3个AV产品： AhnLab的V3 Lite, AhnLab的V3 365 Clinic 和 ESTsoft的 ALYac。虽然，这些产品有自己的进程，但是木马还包括了交互函数来禁用Naver Vaccine和McAfee安全中心。这些厂商都说这个木马是用来攻击韩国的目标。</p>

<p>因为这个木马已经很久了，我们无法根据下载器中指定的URL下载到相关的材料。服务器也没有响应，页面上也没有内容。</p>

<h1>0x03 早期发现</h1>

<hr />

<p>实际上，我们并不是首家遇到HDRoot木马的AV公司。在2013年末。韩国公司AhnLab就发表了关于ETSO入侵小组的<a href="http://global.ahnlab.com/global/upload/download/documents/1401223631603288.pdf">详细报告</a>。ETSO木马，根据AhnLab的分类，对应的就是我们检测到的Winnti木马。在他们的分析过程中，AhnLab的工程师发现了遭到感染的MBR，根据他们的描述（14-15页，“2.5维持网络迹象”），像是HDRoot bootkit 安装器的作用结果：</p>

<p><img src="http://static.wooyun.org//drops/20151018/2015101802235220344.com/blob/wvzaaa2s0do/9zhkouhqnewxeg2ljz49yw?s=pjpcaiqnwltj" alt="" /></p>

<p>AhnLab的HDRoot工作方案</p>

<p>另外，我们还知道熟悉HDD Rootkit工具的事件处理人员并不一定是来AV公司。但是，当谈到检测时，尽管这个危险的威胁比较老了，杀毒产品还是不能很好地检测到。</p>

<h1>0x04 统计数据</h1>

<hr />

<p>不出所料，据KSN称，HDRoot感染主要分布在Winnti感兴趣的区域-东南亚，尤其是韩国。但是其他的地区也出现了感染，并且这一威胁的程度和作用是巨大的。</p>

<p><img src="http://static.wooyun.org//drops/20151020/2015102009115994213.com/blob/wvzaaa2s0do/tj3wsgh7kdgeigvzxzsngw?s=pjpcaiqnwltj" alt="" /></p>

<p>与HDRoot相关的木马活动</p>

<p>需要重点指出的是，这个数量并不能代表目标的性质。看起来通过简单地观察数量，我们无法知道哪些类型的公司遭到了攻击。所以，从对某个国家造成的损害来看，这幅图讲了一个不同的故事。</p>

<p>例如，我们现在正在解决俄罗斯和英国两家公司中的HDRoot感染，在这里，多个使用了我们产品的服务器上都检测到了这个木马。在这两个案例中，感染造成的损失都很大，尤其是俄罗斯的公司，很多公司客户都受到了影响。但是，在图上，俄罗斯只遭到了一次攻击，而UK遭到了23次攻击。</p>

<p>虽然，我们还没有发现HDRoot使用了很多木马系列，目前已知HDRoot的活动就是与Winnti存在关系，我们继续假设这个bootkit可能用在了多次APT攻击中。我们已经知道了Winnti活动和其他先前的APT活动都出现了重合。在考虑了HDRoot安装器的特性是一个独立的工具，很可能其他的威胁小组已经掌握了这个bootkit。</p>

<p>我们识别HDRoot木马为：</p>

<ul>
<li><strong>Hacktool.Win32.HDRoot</strong></li>
<li><strong>Hacktool.Win64.HDRoot</strong></li>
<li><strong>Rootkit.Win32.HDRoot</strong></li>
<li><strong>Rootkit.Win64.HDRoot</strong></li>
<li><strong>Trojan.Boot.HDRoot</strong></li>
</ul>

<p>与HDRoot bootkit相关的后门和下载器：</p>

<ul>
<li><strong>Backdoor.Win64.Winnti</strong></li>
<li><strong>Trojan.Win32.Agentb.aemr</strong></li>
<li><strong>Trojan.Win32.Genome.amvgd</strong></li>
</ul>

<h1>0x05 入侵标志</h1>

<hr />

<h2>样本哈希</h2>

<pre><code>2c85404fe7d1891fd41fcee4c92ad305
4dc2fc6ad7d9ed9fcf13d914660764cd
8062cbccb2895fb9215b3423cdefa396
c7fee0e094ee43f22882fb141c089cea
d0cb0eb5588eb3b14c9b9a3fa7551c28
a28fe3387ea5352b8c26de6b56ec88f0
2b081914293f415e6c8bc9c2172f7e2a
6ac4db5dcb874da2f61550dc950d08ff
6ae7a087ef4185296c377b4eadf956a4
e171d9e3fcb2eeccdc841cca9ef53fb8
ae7f93325ca8b1965502b18059f6e46a
e07b5de475bbd11aab0719f9b5ba5654
d200f9a9d2b7a44d20c31edb4384e62f
cc7af071098d3c00fdd725457ab00b65
c0118c58b6cd012467b3e35f7d7006ed
c8daf9821ebc4f1923d6ddb5477a8bbd
755351395aa920bc212dbf1d990809ab
11e461ed6250b50afb70fbee93320131
acc4d57a98256dfaa5e2b7792948aaae
1c30032dc5435070466b9dc96f466f95
7d1309ce050f32581b60841f82fc3399
b10908408b153ce9fb34c2f0164b6a85
eb3fbfc79a37441590d9509b085aaaca
3ad35274cf09a24c4ec44d547f1673e7
f6004cfaa6dc53fd5bf32f7069f60e7a
c5d59acb616dc8bac47b0ebd0244f686
e19793ff58c04c2d439707ac65703410
4dc2fc6ad7d9ed9fcf13d914660764cd
8062cbccb2895fb9215b3423cdefa396
c7fee0e094ee43f22882fb141c089cea
d0cb0eb5588eb3b14c9b9a3fa7551c28
</code></pre>

<h2>文件</h2>

<pre><code>%windir%\twain.dll
%windir%\system\olesvr.dll
%windir%\msvidc32.dll
%windir%\help\access.hlp
%windir%\syswow64\C_932.NLS
%windir%\syswow64\C_20949.NLS
%windir%\syswow64\irclass.dll
%windir%\syswow64\msvidc32.dll
%windir%\syswow64\kmddsp.tsp
%windir%\temp\svchost.exe
%System32%\wbem\ntfs&lt;3 random chars&gt;.mof
%System32%\Drivers\Lst_Update.sys
%Systemroot%\Help\perfc009.dat
%windir%\bootmgr.exe
%windir%\hall32.exe
%windir%\system32\midimapbits.dll
%windir%\system32\mpeg4c32.dll
%windir%\bootmgr.dat
%windir%\v3update000.exe
%windir%\v3update001.exe
%windir%\v3update002.exe
%windir%\svchost.exe
%windir%\winurl.dat
%windir%\image.jpg
</code></pre>      </p>
    
			</body>
		</html>
                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                          